[박춘식 교수의 보안이야기] 일본독립행정법인정보처리추진기구(IPA)는 11월 17일, 기술보고서로 “소스코드시큐리티 검사”에 관한 보고서를 공개하였다. 이 보고서는 소스코드시큐리티 검사의 유효성과 중요성에 관한 이해를 높이며 실제 개발 현장에서 활용되는 것을 목적으로 한 것으로 IPA가 추진하는 “시스템 라이프사이클에 따른 취약성 대책”의 일환이다. 구체적으로 유효한 장면이나 실시·성공사례를 소개하고 있다. 소스코드 중에 존재하는 취약성을 남김없이 검출할 수 있는 “소스코드시큐리티 검사”는 소프트웨어를 출하하기 전에 취약성을 저감하

[박춘식 교수의 보안이야기] 미국 가트너(Gartner)는 얼마전, 기업의 시큐리티 비용에 관한 조사 예측 보고서를 발표하였다. 이것에 의하면 시큐리티 서비스 분야로 기업이 부담하는 금액은 현재의 350억 달러에서 3년 이내에 490억 달러로 증가하며, 특히 시큐리티 관리 서비스(managed Security Service)가 급성장할 것으로 전망하였다. 「IT managed」라 불리는 “시큐리티 관리 서비스(managed Security Service)” 분야의 매출은 현재는 80억 달러이지만 2015년에는 148억 달러로 급상승

[박춘식 교수의 보안이야기] 일본 총무성은 지난 11월 11일, Google의 스트리트 뷰 촬영 차량이 일본 국내에서도 무선LAN통신을 도청하여 일부를 기록하고 있다는 사실이 전기통신사업법이 정하고 있는 “통신의 비밀”의 침해에 해당될 우려가 있다고 Google사를 문서로 지도하고 재발방지책에 대한 보고를 요구한 사실이 밝혀졌다. 美 Google은 작년 5월, 스트리트 뷰 차량이 무선 LAN을 경유하는 통신을 잘못하여 수집하였다고 발표한 바 있다. 일본 총무성이 일본 법인에 대해서 보고를 요구한 바, 일본 법인은 Google 맵 서

[박춘식 교수의 보안이야기] 시만택은 지난 10월31일, “201년 중요 인프라 보호 조사（2011 Critical Infrastructure Protection（CIP）Survey）의 설문조사 결과 보고서를 발표했다. 이 조사는 정부의 CIP 프로그램에 대한 인지도, 참가도, 준비태세를 조사하는 것을 목적으로 한 것으로, “중요 인프라 산업”으로 지정된 금융, 전기통신, 에너지, 의료, IT, 항공, 교통, 화학 등, 14개 산업인 법인의 경영 간부급 임원(CxO Class), 대기업·중소기업의 IT 담당자를 대상으로, Appli

[박춘식 교수의 보안이야기] 독일 대학연구팀이 미국 Amazon.com의 클라우드 서비스 Amazon Web Services(AWS)에 시큐리티 결함이 있음을 발견했다고 외신이 보도했다. 이들 취약점은 “많은 클라우드 아키텍처에 존재하고 있으며, 공격자가 관리자 권한을 취득하여 모든 이용자의 데이터에 접근하는 것을 가능하게 할 우려가 있다”는 견해를 나타냈다. 연구팀은 이들의 시큐리티 결함에 대해서 Amazon AWS부문에 통보했으며 AWS는 이들을 수정하였다. 단지 연구팀이 고안, 실증한 이들을 통한 공격 수법은 다른 클라우드 서

[박춘식 교수의 보안이야기] 네트워크의 보급에 따라 정부기관이나 기업에 대한 사이버공격이 빈발하고 있다. 그러나 사이버 공간의 국제 룰은 거의 확립되어 있지 않아 무엇이 공격이며 범죄에 해당되는지 애매모호하다. 국제협조의 필요성을 주장해 왔던 헤이그 영국 외상이 회의 개최를 제안했다. 이 제안에 의해, 사이버공간의 과제를 논의하는 민관합동의 국제회의가 11월1일, 영국 런던에서 개최됐다. 약 60개국의 각료, 국제기관, IT 기업 간부, 학자, NGO 등이 급증하는 사이버 공격에 대한 대책이나 인터넷이 제공하는 이익의 보호 대책을

[박춘식 교수의 보안이야기] 국제테러 수사자료가 인터넷으로 유출된 사건으로부터 1년이 지나기 전에 일본 경시청은 지난 10월 21일 수사상황을 공표했다고 마이니찌 신문이 보도했다. 발신지를 숨기는 익명화 소프트웨어 등, 유출 루트의 특정을 곤란하게 하는 사전공작이 시행되어 수사는 난항하고 있다. 경시청 등이 작성한 것으로 보이는 114건의 문서는 작년 10월26일~29일, 파일 공유 소프트웨어 ‘Winny’ 등을 통해서 네트워크에 유출되어 경시청은 업무방해용의로 수사에 착수했다. 유출 시에 경유한 룩셈부르크 등 서버의 계약자 정보를

[박춘식 교수의 보안이야기] 맥아피는 인터넷이 아직 보급되지 않았던 1990년부터 E 커머스나 소셜 미디어의 발전에 따른 사이버 범죄가 폭발적으로 증가한 20년 후인, 2010년까지의 맬웨어 역사를 자사 블로그에 소개했다. 1990년 당시는 정부와 몇 개의 대학만이 인터넷을 이용하고 있었으며 맬웨어 수는 357종류 뿐이었지만, 데스크탑 PC의 보급에 의해서 시큐리티의 필요성이 인식되게 되었다. 당시 데이터 유출이라고 해야 맬웨어에 감염된 플로피 디스크를 PC에 넣거나 감염된 이메일의 첨부 파일을 열어보는 것이 원인이 되어 맥아피에서

[박춘식 교수의 보안이야기] 마에다 국토교통부장관은 10월 28일 각료회의 후 가진 기자회견에서 “국토지리원의 서버도 공격받았다고 들었다”고 설명하면서 조사 시작을 밝혔다. 국토지리원에 의하면 13일 외부로부터 사이버공격을 받아 ID와 패스워드가 해독되어 불법 침입 되었다. 국가 차원의 정보를 노린 사이버 공격은 방위 관련 기업에 이어서 외무성이나 재외공관에도 정보의 탈취를 목적으로 한 표적형 메일이 보내어지고 중의원 의원의 공무용 컴퓨터와 중의원 서버에도 바이러스 감염이 확인되고 있다. 국토지리원에 의하면 불법 침입한 것은 우주에

[박춘식 교수의 보안이야기] 일본외무성과 일부 재외공관에 대해서 6월 이후 정보를 빼낼 것을 목적으로 하는 표적형 메일을 보내는 사이버 공격이 있었다는 것이 26일 후지무라 관방장관의 26일 오전 기자회견에서 알려졌다고 마이니찌 신문이 보도했다. 일부 재외 공관에서는 바이러스 감염도 확인되어 외무성은 바이러스 삭제와 동시에 9월 이후 감시 체제를 강화하고 있다. 후지무라 장관은 회견에서 “기밀정보가 유출된 것은 없다”고 강조했다. 외무성에 의하면 본청과 재외공관에서는 직원이 컴퓨터를 2대씩 사용하며 1대를 외부와의 메일 교환이나 홈

[박춘식 교수의 보안이야기] 최근 일본 내 여러가지 사이버 문제들에 대해 3편으로 나누어 소개할까 한다. 우선 11월 25일, 중의원 서버와 의원들의 컴퓨터가 사이버 공격을 받고 불법 침입 당한 문제에 대해서, 침입자는 의원과 비서의 ID와 패스워드 등을 관리하는 전용서버를 노렸다는 것이 밝혀졌다. 동일한 네트워크내의 중의원 사무국 직원의 서버에는 피해가 없었다. 침입자의 목적이 의원의 정치활동 정보 등을 얻으려는 것 같다는 의심의 뜻을 나타내었다. 중의원 네트워크는 의원 약 480명과 정규 비서 약 480명인 약 960명과 직원

[박춘식 교수의 보안이야기] ‘COG정보보호포럼’ 폐회 후인 9월23일 아침, 중국홍커연맹의 창시자인 Lion이 연맹의 10년만의 재편을 공식 웹 사이트 및 자신의 중국판 트위터에서 전한 바 있다. 재편이라는 것은 사실상의 부활로 생각해도 좋을 것이다. 이 성명이 주는 의미와 목적을 생각하기 위해 홍커연맹의 역사와 경과에 대해서 약간의 설명이 필요할지도 모른다. 2004년 12월31일에 중국 홍커연맹이 해산한 후, ‘紅客’라는 이름에 탑승한 조직이 우후죽순처럼 속출, 현재 확인되는 홍커연맹의 변종은 다음과 같다. ◇가짜 홍커연맹 사

[박춘식 교수의 보안이야기] 인터넷 공격은 전세계적으로 행해진다. 그러나 미국 아카마이사에 의하면 최신 조사에서는 발신원은 아시아 태평양지역에 집중하고 있는 것 같다. 아카마이가 발표한 최신 조사 ‘State of the internet’에 의하면 제2사분기에는 대만이 공격 트래픽 전체의 10%를 점하여 발신원 1위가 되었다. 제1사분기에 1위였던 미얀마는 제2사분기에는 2위. 공격 트래픽은 4포인트 떨어진 9%였다. 3위가 미국으로 8%, 4위는 중국으로 7.8%, 5위는 러시아로 7.5%였다. 전체적으로 보면, 공격 트래픽 발신

[박춘식 교수의 보안이야기] 내부고발사이트 위키리크스에 대한 재정지원이 단절된 문제를 해결하기 위해 기밀문서의 공개를 일시적으로 중지했다. 보도에 의하면 위키리크스의 수입은 95％감소했다고 한다. 위키리크스의 공동 설립자인 Julian Assange는 10월24일 기자회견을 열고 “우리들은 지금까지 저널리즘 사상 최대급의 Leak 정보를 계속 공개 해왔다. 이것이 권력자들을 자극하여 맹렬한 반격의 방아쇠가 되었다”라고 말했다. Julian Assange가 언급한 권력자들은, Bank of America、VISA、MasterCard、

[박춘식 교수의 보안이야기] 기록매체로 플래시 메모리를 사용한 SSD（Solid State Disk）의 용도가 확대되면서 SSD를 표준 탑재한 노트, PC나 태블릿 단말도 증가하는 가운데, 급속한 보급과 함께 새로운 딜레마도 등장하고 있다고 미국 정보보호 기관인 SANS Internet Storm Cente가 블로그를 통하여 전했다. 블로그에 의하면 미국 산디에고 대학（UCSD）의 연구자가 최근, SSD드라이버의 컨텐츠를 완전히 소거하는 어려움에 대해서 해설한 논문을 발표했다. 파일을 소거하기 위한 소프트웨어는 SSD에서는 거의 기

[박춘식 교수의 보안 이야기] 미국 조오지아 공과대학 연구팀이 스마트폰의 가속도계를 사용해서 데스크 탑 PC의 키보드로 입력된 내용을 도청하는데 성공했다는 논문을 발표했다고 정보보호 기업인 소포스가 10월 20일 블로그에서 전했다. 이 블로그에 의하면, 연구팀은 가속도계가 탑재된 스마트폰을 키보드 가까이에 두고, 전용 소프트웨어를 사용해서 키보드의 진동을 해석함으로써 입력 내용을 도청했다. 이 결과, 최고 80%의 정확도로 입력된 문자를 해석할 수 있다고 밝혔다. 연구자는 “iPhone 3GS를 사용한 실험에서는 내용의 판독이 어려

[박춘식 교수의 보안이야기] 해커집단 어나니머스(Anonymous)가 산업제어시스템을 노려 사이버공격을 가해올 우려가 있다고 미국 국토안보부 사이버 보안 기관인 ‘NCCIC’가 경계를 요하는 문서를 공공기관에 송부했다. 이 문서는 ‘공용 한정’으로 되어 있지만 비공개 공문서 등을 게재하고 있는 웹 사이트 ‘public intelligence’에 게재되었다. 이중에서 NCCIC는 해커 집단 Anonymous가 최근, 산업제어시스템에 대한 공격에 관심을 나타내고 있다”고 설명하고 Anonymous의 실태나 공격 수법에 대해서 분석하고

[박춘식 교수의 보안이야기] 독일 해커 집단 Chaos Computer Club(CCC)이 독일정부에 의해 스파이 목적으로 사용되고 있는 트로이목마를 발견했다고 발표했다. 시큐리티 기업들이 블로그에서 일제히 전했다. 이 블로그에 의하면 발견된 것은 윈도우를 겨냥한 백도어형 트로이목마로 ‘R2D2’ 등의 명칭이 붙어 있다. CCC가 공표한 분석 결과에 의하면、Firefox、Skype、MSN Messenger、ICQ 등의 어플리케이션의 키 입력을 감시하는 키로거 기능 외에 Skype의 통화를 녹음하거나 화면의 스크린샷을 취하는 기능이

[박춘식 교수의 보안이야기] 지난 6월말, 인도 뉴델리 간디 국제공항(IGI)에서 발생한 시스템 장해 원인이 사이버 공격이었다는 사실이 밝혀졌다. 인도신문 The Economic Times에 의하면 6월29일 오전 4시, 공항 터미널 3의 체크인 시스템용 서버에 알 수 없는 장해가 발생. 이 때문에 체크인 업무는 수 작업 외에는 다른 방법이 없어 결과적으로 장해 발생 30분 후까지 약 50편의 이착륙에 영향을 미쳤다. 공항을 관리 운영하고 있는 DIAL(델리국제공항회사)에 의하면 장해가 발생한 것은 체크인 업무 목적으로 사용되고 있

[박춘식 교수의 보안이야기] 일본 노다 정부는 7일, 수상 관저에서 ‘정부의 정보보전에 관한 검토위원회(위원장 후지무라 관방장관)’를 열고 2012년 정기 국회에서, 비밀보전법안의 제출을 목표로 하는 방침을 확인하였다. 기밀정보를 유출시킨 국가공무원에 대한 처벌을 강화하는 내용이었다. 회의에서 후지무라 관방장관은 “국민의 알 권리와 취재의 자유는 충분히 배려하면서 폭넓게 국민 각 계층의 의견을 듣고 정중하게 대응하고 싶다”고 관계성청의 간부들에게 요청하였다. 검토위원회가 열렸던 것은 노다 정부의 발족 후 처음으로 센카쿠 열도의 중국